OpenSSHに重大な脆弱性、Alpine Linux利用者は今すぐSSHを無効化せよ
OpenSSH 10.6p2 has been released with a workaround for a critical vulnerability
OpenSSH 10.6p2が公開された。PAMを使わないmusl libc環境（Alpine Linuxなど）では認証を回避できる重大な脆弱性があり、該当システムは直ちにPasswordAuthentication=noにするかSSH自体を止める必要がある。原因はOpenSSHの外にあるとされるが、AIエージェントが数時間でバグを再発見する事例が相次いでいるため、長期間の情報統制は危険と判断し異例の速さでリリースされた。
AIエージェントによるバグの急速な再発見が複数回、時には数時間のうちに確認されたため、長期のエンバーゴは主に攻撃者に利益をもたらす危険な慣行と考えるようになった。
HNでの議論
66- amluto
なんてバグだ。エクスプロイトは文字通り、/etc/shadowのパスワードが「*」になっているユーザーとしてsshでログインを試み、パスワードに何かを入力するだけの単純さだと思う。
脆弱な設定のシステムが実際に存在するなら、なぜ何年も前に単純なsshボットに悪用されなかったのか不思議だ。
追記：伝統的なUNIX的なC APIとコードがいかにひどいか、思い知らされたよ。
追記2：問題のmuslのコードは狂っている。実装しているAPIがひどすぎる。マジで、これがmanページだ：
https://man.archlinux.org/man/crypt.3.en
この関数を正しく呼ぶことなんてできない。sshdの「修正」は、要するに短すぎる戻り値を成功ではなくエラーとみなすことだ。
PAMもひどいが、これはもっとひどい。
- dust42
> 我々はこのリリースを可能な限り迅速に行っている（問題を把握したのは昨日だ）。なぜなら最近、AIエージェントによるバグの再発見が迅速に、時には数時間以内に複数回観測されており、長期間のエンバーゴは主に攻撃者に利益をもたらす危険な慣行と考えるようになったからだ。
これはおそらく標準になるだろう。それでも、荒れ狂う数ヶ月が待っている。
- throwa356262
muslのみ、迅速な修正：
PasswordAuthentication=no
これは一般的に良いアドバイスだ。
- MPSimmons
これは実際にAlpineに対して有効なのか？デフォルトのインストールでは/etc/shadowのプレースホルダとして「*」ではなく「!」を使っているようで、攻撃を試してもうまくいかないようだ。
- asdfsa32
このご時世に誰がPasswordAuthentication=yesにするんだよ。